feat(update): отдельный update.base_url и вшитый токен read:package

- update.base_url (env UPDATE_BASE_URL) — хост обновления, БЕЗ фоллбэка на git.base_url: пустое значение отключает update.
- Убран git.token из пути обновления: теперь отдельный токен.
- Токен read:package вшивается при сборке (-X main.updateToken из секрета TC_UPDATE_TOKEN), приоритет над update.token из конфига.
- Обновлены app.New (сигнатура), main, Makefile, CI, config.example, тесты.

cmd/ratatoskr/main.go

@@ -19,6 +19,11 @@ import (
 // Локальная сборка без ldflags оставляет "dev".
 var version = "dev"
 
+// updateToken — токен read:package для авто-обновления, вшивается при сборке:
+//   go build -ldflags "-X main.updateToken=<token>"
+// Без ldflags — пустой; тогда используется update.token из конфига (если задан).
+var updateToken = ""
+
 func main() {
 	cfg := flag.String("config", "", "путь к config.yaml (по умолчанию — CWD/config.yaml)")
 	versionFlag := flag.Bool("version", false, "показать версию и выйти")
@@ -29,7 +34,7 @@ func main() {
 		return
 	}
 
-	a, err := app.New(*cfg, version)
+	a, err := app.New(*cfg, version, updateToken)
 	if err != nil {
 		log.Fatalf("app init: %v", err)
 	}